ペット用品のチャーム、不正アクセスの続報、約39万件の個人情報漏洩を確認　約4万件は漏えいのおそれ、不正ログイン239名も判明

ペット用品などを扱う株式会社チャームは2026年9月1日、同社が運営する「チャーム本店1号店」「チャーム本店2号店」への第三者による不正アクセスについて第3報を公表しました。

8月13日の第1報では、個人情報約23万件について「漏えいのおそれがある」としていましたが、その後の追加調査と対象データの精査により、現時点で約39万件の個人情報について漏えいを確認し、さらに約4万件について漏えいのおそれがあることが判明しました。対象は合計約43万件です。

また、新たに239名の顧客について第三者による不正ログインが確認されました。不正ログインに使用されたメールアドレスとパスワードの入手経路は特定できていません。

約43万件の個人情報と不正ログインが確認された239名との重複関係は公表されていないため、本記事では両者を単純合算しません。さらに、退会済み顧客に関する情報も別途対象となる可能性があり、チャームが対象範囲を確認しています。

チャーム不正アクセス第3報のサマリー

• チャームは2026年9月1日、チャーム本店サイトへの不正アクセスに関する第3報を公表しました。
• 第1報では約23万件の個人情報について漏えいのおそれがあるとしていました。
• 追加調査の結果、現時点で約39万件の個人情報について漏えいが確認されました。
• 別途、約4万件については記録が限られ、漏えいの有無を確認できないため「漏えいのおそれがある」としています。
• 漏えい確認と漏えいのおそれを合わせた対象は約43万件です。
• 退会済み顧客に関する情報も別途対象となる可能性があり、現在も確認が続いています。
• 過去の注文で「お届け先」として登録された人の個人情報も、漏えい確認または漏えいのおそれがある対象に含まれることが判明しました。
• 第1報では、氏名、住所、電話番号／FAX番号、生年月日、性別、メールアドレス、所持ポイント数、顧客対応に関する社内記録、パスワードのハッシュ値などが影響対象となり得る情報として公表されていました。
• クレジットカード情報は第1報で対象に含まれないと説明されています。
• 新たに239名について第三者による不正ログインが確認されました。
• 不正ログインに使用されたメールアドレスとパスワードの入手経路は、現時点で特定されていません。
• 約43万件と不正ログイン239名の重複関係は公表されていません。
• 約39万件と約4万件の対象者への個別通知は、2026年9月2日から順次開始されます。
• チャームは8月13日に個人情報保護委員会とJIPDECへ本件を報告済みです。
• 不正アクセスの具体的な侵入経路や攻撃者については、現時点で公表されていません。

項目	内容
第3報公表日	2026年9月1日
対象組織	株式会社チャーム
対象サービス	チャーム本店1号店、チャーム本店2号店
インシデント	第三者による不正アクセス、個人情報漏えい、顧客アカウントへの不正ログイン
第1報時点の対象	個人情報約23万件に漏えいのおそれ
第3報で漏えい確認	約39万件
第3報で漏えいのおそれ	約4万件
現時点の対象合計	約43万件
追加調査中	退会済み顧客の情報が別途対象となる可能性あり
不正ログイン	239名
不正ログイン用認証情報の入手経路	特定できていません
個別通知	約43万件の対象者へ2026年9月2日から順次開始
クレジットカード情報	第1報では対象情報に含まれないと説明
侵入経路	公表されていません
攻撃者	公表されていません
個人情報保護委員会への報告	2026年8月13日に報告済み
JIPDECへの報告	2026年8月13日に報告済み

約23万件の「漏えいのおそれ」から約39万件の漏えい確認へ更新

チャームは8月13日の第1報で、チャーム本店サイトへの不正アクセスにより、顧客情報約23万件が外部へ漏えいしたおそれがあると公表していました。

その後、追加調査と対象データの精査を進めた結果、第3報では約39万件について個人情報の漏えいが確認されたとしています。

一方、約4万件については確認できる記録が限られており、これ以上の調査が困難であることから、漏えいの有無を確認できませんでした。この約4万件については「漏えいのおそれがある」情報として扱っています。

したがって、9月1日時点では、漏えいが確認された個人情報が約39万件、漏えいのおそれがある個人情報が約4万件で、合計約43万件となりました。

退会済み顧客の情報も追加対象となる可能性

第3報では、退会済み顧客に関する情報についても別途対象となる可能性があることが新たに明らかになりました。

チャームは現在、退会済み顧客に関する対象範囲を確認しており、確認が完了した後、対象者へ順次案内するとしています。

このため、約43万件が最終的な影響件数と確定したわけではありません。退会済み顧客の調査結果によっては、今後対象範囲が更新される可能性があります。

また、漏えいまたは第三者による閲覧が確認された情報の範囲は顧客ごとに異なります。チャームは、個別に確認された内容に応じて対象者へ通知する方針です。

顧客本人だけでなく「お届け先」に登録された人の情報も対象

今回の調査では、チャーム本店サイトを直接利用した顧客の情報だけでなく、過去の注文で「お届け先」として登録された人の個人情報も対象に含まれることが判明しました。

通販サイトでは、購入者本人とは異なる家族や知人などを配送先として登録するケースがあります。そのため、チャームのアカウントを保有していない人でも、過去に商品の配送先として登録されていれば影響を受ける可能性があります。

チャームは、配送先として登録されたことに心当たりがあり、同社から直接連絡を受けられない人がいる場合、可能な範囲で本件を伝えるよう顧客へ呼びかけています。

第1報で公表された対象情報は氏名、住所、メールアドレス、パスワードのハッシュ値など

第3報では、漏えいまたは第三者による閲覧が確認された具体的な情報は顧客ごとに異なるとしており、一律の情報項目は示していません。

8月13日の第1報で、漏えいのおそれがある情報として公表されていたのは以下です。

• 氏名
• 住所
• 電話番号／FAX番号
• 生年月日
• 性別
• メールアドレス
• 所持ポイント数
• 顧客対応に関する社内記録
• 顧客が設定したパスワードを元の文字列へ戻すことができない形式のデータ（ハッシュ値）

チャームは第1報で、パスワードについて元の文字列そのものではないと説明しています。また、対象となるお届け先情報にクレジットカード情報は含まれていないとしています。

第3報で約39万件について漏えいが確認されたからといって、約39万件すべてについて上記すべての情報項目が漏えいしたことを意味するものではありません。実際の影響範囲は対象者ごとに異なるため、個別通知の内容を確認する必要があります。

新たに239名への不正ログインを確認

第3報では、新たに239名の顧客について第三者による不正ログインが確認されたことも公表されました。

チャームによると、不正ログインに使用されたメールアドレスとパスワードの入手経路は現時点で特定できていません。不正ログイン後に発生した影響についても顧客ごとに異なるため、同社は確認された内容に応じて対象者へ個別に案内するとしています。

この点は第1報からの重要な更新です。8月13日時点では、チャームはログ解析の結果、不正に参照されたログインIDを利用したチャーム本店への不正ログインや不正注文は「現時点では確認されていない」と説明していました。

その後の追加調査により、9月1日の第3報では239名への第三者による不正ログインが確認されたことになります。

ただし、第3報では239名への不正ログインと今回確認された個人情報漏えいの因果関係までは明らかにされていません。

メールアドレスとパスワードが今回の不正アクセスによって取得されたのか、別のサービスなどから取得された認証情報が使用されたのかも特定されていません。

このため、今回の約43万件の個人情報対象と不正ログイン239名を単純に合算したり、今回漏えいした認証情報を使ったパスワードリスト攻撃だったと断定したりすることはできません。

約43万件の対象者には9月2日から個別通知

チャームは、今回公表した約39万件の漏えい確認対象と約4万件の漏えいのおそれがある対象について、2026年9月2日から個別の連絡を順次開始します。

漏えいまたは第三者による閲覧が確認された情報は対象者ごとに異なるため、通知内容もそれぞれの調査結果に応じたものとなります。

一方、退会済み顧客については現在も対象範囲を調査中であり、確認完了後に対象者へ案内する予定です。

8月13日の第1報から9月1日の第3報まで

8月13日の第1報では、約23万件の個人情報について漏えいのおそれがあると公表し、同日、個人情報保護委員会と認定個人情報保護団体のJIPDECへ報告しました。

8月20日の第2報では、チャーム本店サイトの停止を継続し、再開時期は未定と説明していました。

9月1日の第3報では、約39万件の漏えい確認、約4万件の漏えいのおそれ、239名への不正ログインが新たに明らかになりました。

また、2026年9月1日時点のチャーム公式トップページでは、チャーム本店1号店・2号店はいずれも「現在休止中」と案内されており、電話注文は受け付けています。第3報では本店サイトの再開時期について追加の説明はありません。

日付	公表・対応内容
2026年8月12日	不正アクセスを検知。関連サーバーへのアクセスを遮断し、チャーム本店の受注・出荷を停止
8月13日	第1報。約23万件の個人情報に漏えいのおそれがあると公表。個人情報保護委員会、JIPDECへ報告
8月20日	第2報。チャーム本店サイトの停止継続、再開時期未定と公表
9月1日	第3報。約39万件の漏えい確認、約4万件の漏えいのおそれ、不正ログイン239名を公表
9月2日～	約43万件の対象者への個別通知を順次開始予定

不正ログインを受け、パスワード使い回しに改めて注意喚起

チャームは第3報で、不正ログイン防止のため、チャーム本店サイトと同一または類似するパスワードを他サービスでも使用している場合は、異なるパスワードへ変更するよう呼びかけています。

チャーム本店サイトについても、パスワード変更が可能になった時点で変更するよう案内しています。

239名への不正ログインに使用された認証情報の入手経路は明らかになっていませんが、認証情報の使い回しは、別サービスから流出したメールアドレスとパスワードを利用するパスワードリスト攻撃などの被害を拡大させる要因になります。

今後想定される二次被害

今回、約39万件について個人情報の漏えいが確認されました。

氏名、住所、電話番号、メールアドレスなどが対象となっている場合、これらの情報を組み合わせたフィッシングメールやSMS、チャームや配送事業者を装った連絡、詐欺電話などに悪用される可能性があります。

特に通販サイトの情報では、「注文内容の確認」「配送先の確認」「返金」「ポイント失効」「アカウント再認証」などを理由に認証情報や決済情報を入力させるフィッシングに注意が必要です。

ただし、第3報でこうした二次被害が実際に発生したとの公表はありません。現時点では今後想定されるリスクとしての注意が必要です。

情報システム部門への示唆

今回の第3報で注目すべきなのは、初期調査とその後の影響範囲の間に大きな差が生じた点です。

8月13日時点では約23万件が「漏えいのおそれ」とされていましたが、追加調査によって約39万件の漏えいが確認され、約4万件については記録不足のため漏えいの有無を確認できない状態となりました。

インシデントの第一報では、調査可能なログやデータが限られ、影響件数や漏えいの確度が後から変わることがあります。情報システム部門では、初期段階の数字を確定値として扱わず、「確認済み」「可能性あり」「調査中」を明確に分けて管理することが重要です。

また、約4万件について「確認できる記録が限られているため、これ以上の調査が困難」とされた点も重要です。ログの保存期間、監査ログの粒度、アプリケーションと認証基盤のログを横断して追跡できる設計は、侵害の検知だけでなく、事故後に影響範囲を確定するうえでも必要になります。

さらに、今回の対象には顧客本人だけでなく、注文時に配送先として登録された第三者も含まれています。個人情報漏えい時の影響評価では「アカウント数」だけを見るのではなく、注文データ、配送先、問い合わせ履歴などに含まれる非会員の個人情報も洗い出す必要があります。

239名への不正ログインについては認証情報の入手経路が特定されていません。不正アクセス事案とアカウント乗っ取りが同時に確認された場合でも、両者の因果関係を推測で結び付けず、認証ログ、アクセス元、セッション情報、認証情報の変更履歴などから個別に検証することが求められます。

今回の第3報でも、不正アクセスの具体的な侵入経路や攻撃者、再発防止策の詳細は公表されていません。今後は退会済み顧客を含む最終的な影響件数、侵入経路、不正ログインとの関係、チャーム本店サイトの安全性確保と再開、再発防止策の具体的な内容が確認ポイントになります。

出典

• 不正アクセスによるシステム障害発生に関するお知らせとお詫び（第3報） – 株式会社チャーム
• 不正アクセスによるシステム障害発生に関するお知らせとお詫び – 株式会社チャーム
• 不正アクセスによるシステム障害発生に関するお知らせとお詫び（第2報） – 株式会社チャーム
• ペット用品 通販 大手のチャーム 本店に不正アクセスによるサイバー攻撃で、約23万件の個人情報漏洩の恐れ – セキュリティ対策Lab